Fichar con huella es sancionable por la AEPD

El año pasado la AEPD estableció que las empresas no pueden utilizar los datos biométricos de sus empleados para llevar el control horario. Ya sea mediante la huella dactilar, el reconocimiento facial u otras tecnologías similares por lo que ahora en 2024 fichar con huella es sancionable.

Si, fichar con huella es sancionable, y aún existen muchas empresas que lo siguen haciendo en su gestión del control horario obligatorio. Aquí explicamos porque pueden multarte por usar sistemas biométricos para fichar:

Según el Principio de Minimización de Datos y Protección de Datos desde el Diseño (art. 25.1 RGPD) se explica que: El considerando 39 explica muy claramente que unos datos que no son necesarios para cumplir con la finalidad del tratamiento no deben ser tratados:
“…Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios…”
Los datos que se traten han de ser limitados a lo necesario para conseguir los fines de tratamiento. En el caso que nos ocupa, la finalidad de un tratamiento de control de presencia no es tratar datos biométricos

En su lugar, las empresas deberán optar por sistemas menos intrusivos como tarjetas RFID, códigos o aplicaciones móviles. Aunque desde 2007 este tipo de control horario estaba permitido, la normativa ha cambiado. Ahora las empresas que no adaptan sus métodos se arriesgan a sanciones por parte de la AEPD. Es el caso de una empresa española multada con 365.000€ por incumplir tres artículos del (RGPD), según informa Confilegal.

Multas por fichar con huella dactilar

La sanción se dividió en tres partes. La multa más elevada, de 200.000 euros, fue por no cumplir con el artículo 13 del RGPD. Que exige informar adecuadamente a los empleados sobre la recopilación de datos y obtener su consentimiento. Además, la empresa fue sancionada con 100.000 euros por no clasificar correctamente los datos biométricos como de «categoría especial», incumpliendo el artículo 35 del reglamento. Finalmente, la tercera multa de 65.000 euros se debió a la falta de medidas adecuadas para proteger el almacenamiento de estos datos, lo que infringía el artículo 32.

¿Qué decía la Ley?

Artículo 13. Obligación de informar a los interesados de los datos personales obtenidos. La duración de la infracción y la categoría de los datos personales afectados inciden en la cuantía final de la sanción. En el caso, se trata de datos especiales, ya que permiten identificar a un persona física. (200.000 euros)
Artículo 32. Evaluación del nivel de seguridad del tratamiento de los datos. La infracción se sanciona acorde con la duración de la misma y la categoría de los datos personales afectados. (65.000 euros)
Artículo 35. Evaluación del riesgo de impacto de las operaciones de tratamiento de datos en los derechos y libertad de las personas físicas. El tratamiento de datos biométricos es un tratamiento de alto riesgo, en virtud de lo previsto en el artículo 35.4 RGPD, por lo que el tratamiento realizado debió estar precedido de la realización y superación de una evaluación de impacto válida, que incluyese como mínimo los apartados previstos en el artículo 35.7 del RGPD. (100.000 euros)

Conclusiones del fichaje con huella dactilar

Si bien el uso de datos biométricos para el fichaje no está completamente prohibido, su implementación y justificación es compleja. Existen situaciones en las que, por razones de seguridad o de interés público, el uso de la biometría puede estar justificado. Sin embargo, las empresas que puedan justificarlo y deseen seguir utilizando este sistema deberán invertir en mejoras de seguridad y en procedimientos de almacenamiento que garanticen la protección de los datos.

Como decíamos, la utilización de datos biométricos no está totalmente prohibido. Se permite siempre y cuando su uso sea imprescindible para el control de accesos (que no control de presencia). Ya que se establece diferencia entre ambos conceptos y por ello tienen diferentes finalidades. Próximamente explicaremos cuando se puede usar el control biométrico y cuales son las condiciones para que su aplicación sea legal respetando la Protección de Datos y los aspectos que recoge la AEPD.